VD och styrelseordförande går igenom integritetspolicyn

Ledningsansvar enligt GDPR: vad VD och styrelse måste göra

november 12, 2026, Jesper Thornberg

Enligt GDPR är det organisationen som är personuppgiftsansvarig, inte VD eller en enskild styrelseledamot. Ledningen ansvarar ändå för att organisationen faktiskt kan leva upp till kraven. Det betyder att ledningen måste besluta om roller, resurser och riskaptit, se till att det finns policyer, register, konsekvensbedömningar och en incidentprocess, och regelbundet följa upp att arbetet fungerar. Om IMY granskar verksamheten är det inte avsikterna som räknas. Det som räknas är det ni kan visa upp.

Trustview

trustview.se

Samla GDPR-arbetet på ett ställe

Trustview hjälper organisationer att strukturera ansvar, riskbedömningar och uppföljning så att ledningen får bättre överblick över dataskyddsarbetet.

Besök

Kort sagt

Organisationen är personuppgiftsansvarig, men ledningen skapar förutsättningarna och ser till att kraven följs i praktiken.
Ansvarsskyldigheten är kärnan: organisationen ska både följa GDPR och kunna visa att den gör det, med dokumentation som håller vid en granskning.
Dataskyddsombudet ger råd och kontrollerar men bär inte ansvaret. Det ligger kvar hos organisationen och därmed hos ledningen.
Konsekvenserna vid brister är kännbara: sanktionsavgifter på upp till 20 miljoner euro eller 4 procent av den globala årsomsättningen för företag, och upp till 10 miljoner kronor för myndigheter.
GDPR-styrning är en återkommande ledningsprocess med beslut, rapportering och uppföljning, inte ett engångsprojekt för IT eller juridik.

Innehållsförteckning

Vem bär ansvaret: organisationen eller personerna?
Så fördelar ni rollerna
Dataskyddsombudet och ledningen
Vad ledningen konkret måste säkerställa
När något går fel: incidenter och 72-timmarsgränsen
Tillsyn och sanktionsavgifter
GDPR-styrning i praktiken: ett årshjul för ledningen
Vårt perspektiv
Samla ledningens dataskyddsarbete i Trustview
Vanliga frågor om ledningsansvar och GDPR
Källor

Vem bär ansvaret: organisationen eller personerna?

Den vanligaste missuppfattningen i ledningsgrupper är att ”den personuppgiftsansvarige” är en person. Så är det inte. Enligt IMY:s vägledning om personuppgiftsansvariga är det organisationen, till exempel aktiebolaget, stiftelsen, föreningen eller myndigheten, som bestämmer ändamålen med behandlingen och hur den ska gå till. Chefen på en arbetsplats eller en enskild anställd är alltså inte personuppgiftsansvarig.

EDPB uttrycker samma sak i sina riktlinjer 07/2020 om begreppen personuppgiftsansvarig och personuppgiftsbiträde: i praktiken är det vanligtvis organisationen som sådan, och inte vd:n, en anställd eller en styrelseledamot, som är personuppgiftsansvarig.

Varför är detta då en ledningsfråga? Därför att organisationen bara kan agera genom sina företrädare. Det är styrelsen och VD som fördelar uppdrag, beslutar om budget, godkänner policyer och avgör hur mycket risk verksamheten accepterar. Om de besluten saknas finns det heller ingen fungerande efterlevnad, och sanktionen träffar organisationen som helhet.

Vem bär ansvaret: organisationen eller personerna?

Ledningen sätter tonen

IMY har varit tydlig med vem som äger frågan. I ett blogginlägg från januari 2023 konstaterar myndigheten att dataskydd är en fråga för den högsta ledningen. Det är ledningen som anger tonen, sätter ambitionsnivån, prioriterar resurser och utvecklingsmedel och beskriver vad som förväntas av medarbetarna. I samma inlägg redovisar IMY att bara 4 av 10 dataskyddsombud uppgav att den egna organisationen arbetar kontinuerligt och systematiskt med dataskydd. Myndighetens slutsats var att det krävs en aktiv ledning som gör de nödvändiga prioriteringarna.

Så fördelar ni rollerna

Tydlig rollfördelning är grunden för all GDPR-styrning. Tabellen nedan visar en vanlig ansvarsmodell i svenska organisationer. Exakt hur ni fördelar uppgifterna beror på er storlek och organisationsform, men varje rad behöver ha ett namn eller en funktion kopplad till sig.

Roll	Huvudsakligt ansvar	Vad rollen ska kunna visa
Styrelse	Strategisk styrning, riskaptit och kontroll av att ledningen har en fungerande organisation för dataskydd	Protokollförda beslut, mottagen rapportering, uppföljning av större risker och incidenter
VD och ledningsgrupp	Operativt genomförande: resurser, ansvarsfördelning, policyer och prioriteringar	Fastställd dataskyddspolicy, delegeringsordning, budget och handlingsplan
Organisationen som personuppgiftsansvarig	Att behandlingen följer GDPR och att efterlevnaden kan visas	Register över behandlingar, rättsliga grunder, konsekvensbedömningar, incidentlogg
Dataskyddsombud (när det krävs)	Informera, ge råd och kontrollera efterlevnaden, utan eget ansvar för att GDPR följs	Granskningar, rådgivning och rapporter till ledningen
Verksamhetsansvariga och processägare	Att den egna verksamhetens behandlingar är kartlagda, laglig och säkra	Uppdaterade registerposter, genomförda åtgärder
Personuppgiftsbiträden	Att behandla uppgifter enligt instruktion och skydda dem	Personuppgiftsbiträdesavtal, säkerhetsåtgärder, incidentrapportering

När två eller flera organisationer bestämmer ändamål och medel tillsammans uppstår ett gemensamt ansvar, och då behöver ansvarsfördelningen regleras särskilt. Vi går igenom det i vår guide om gemensamt personuppgiftsansvar enligt artikel 26. För en bredare genomgång av rollerna finns även vår guide om roller i integritetsskyddet.

Dataskyddsombudet och ledningen

Många organisationer gör misstaget att lämna över hela frågan till dataskyddsombudet. Enligt IMY:s vägledning om dataskyddsombudets roll har ombudet inget eget ansvar för att organisationen följer GDPR. Ansvaret ligger alltid hos organisationen som personuppgiftsansvarig, och organisationen får inte bestraffa ombudet för att det utför sina uppgifter.

Samma vägledning beskriver vad organisationen bör göra för att ombudet ska kunna fungera:

Bjuda in ombudet att regelbundet delta i möten på högsta och mellanliggande förvaltningsnivå.
Låta ombudet delta när beslut fattas som får följder för dataskyddet.
Förmedla all relevant information till ombudet.
Dokumentera skälen när ledningen väljer att inte följa ombudets råd.
Rådfråga ombudet omedelbart när en personuppgiftsincident har inträffat.

Punkt 4 är den som oftast saknas i praktiken. Ledningen får fatta beslut som går emot ombudets rekommendation, men då ska resonemanget finnas nedskrivet. Det är just den sortens spårbarhet som visar att organisationen gjort en medveten avvägning och inte bara förbisett en risk. Läs mer i vår genomgång av dataskyddsombudets ansvar och uppgifter.

Vad ledningen konkret måste säkerställa

GDPR bygger på principen om ansvarsskyldighet. Enligt IMY:s vägledning om konsekvensbedömning följer det av den principen att den personuppgiftsansvarige har det yttersta ansvaret för att kraven i GDPR och annan dataskyddslagstiftning uppfylls. För ledningen kan det brytas ned i fem områden.

1. Policy och organisatoriska åtgärder

Den personuppgiftsansvarige ska, utifrån integritetsriskerna, vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen följer förordningen. IMY nämner som exempel att organisationen antar en dataskyddspolicy och ser till att den genomförs. En policy som ligger i en mapp utan att någon följer upp den räcker alltså inte. Den behöver kopplas till ansvar, rutiner och kontroll.

2. Registret över behandlingar

Registret är ofta den första handling IMY begär in. Enligt EDPB:s vanliga frågor för mindre företag står registret under organisationens chefs ansvar, och den personuppgiftsansvarige måste kunna visa att principerna i förordningen följs. För ledningen innebär det att registret ska vara komplett, aktuellt och ha en utsedd ägare per behandling.

3. Konsekvensbedömningar

När en behandling sannolikt innebär hög risk krävs en konsekvensbedömning (DPIA). IMY anger att den personuppgiftsansvarige ska säkerställa att bedömningen genomförs när den är obligatorisk och att den genomförs och följs upp på ett godtagbart sätt. När det är lämpligt ska synpunkter inhämtas från de registrerade eller deras företrädare, och om förhandssamråd krävs ska IMY involveras. Ledningens roll är att se till att nya system, tjänster och samarbeten inte lanseras innan bedömningen är gjord. Vår stegvisa guide till konsekvensbedömning och genomgången av riskkriterier i DPIA visar hur arbetet går till.

4. Leverantörer och personuppgiftsbiträden

Leverantörskedjan är ofta den svaga länken. Ledningen bör kräva att varje leverantör som behandlar personuppgifter har bedömts, att det finns ett biträdesavtal och att avtalet följs upp. Att brister här får verkliga konsekvenser visar ett spanskt fall där en kemikalietillverkare bötfälldes för dataintrång och saknat biträdesavtal, och ett franskt beslut där ett personuppgiftsbiträde fick en sanktionsavgift.

5. Kompetens och utbildning

Medarbetare som hanterar personuppgifter behöver veta vad som gäller i deras egen roll. Ledningen ansvarar för att utbildningen finns, att den är anpassad till respektive funktion och att det går att visa vem som har genomgått den.

När något går fel: incidenter och 72-timmarsgränsen

Incidenthanteringen är där ledningsansvaret prövas skarpt. Enligt IMY:s rapport om anmälda personuppgiftsincidenter 2022 måste verksamheten anmäla en incident till IMY utan onödigt dröjsmål och senast inom 72 timmar efter att ha fått kännedom om den, om det är sannolikt att incidenten innebär en risk för enskildas rättigheter och friheter. Rapporten slår också fast att det alltid är den personuppgiftsansvarige som ansvarar för att hantera incidenten korrekt, både genom att anmäla anmälningspliktiga incidenter och genom att dokumentera incidenten internt.

Exempel: I ett tillsynsbeslut från april 2020 konstaterade IMY att Statens servicecenter hade överträtt artikel 33.1. Myndigheten fick kännedom om en incident den 28 mars 2019 men anmälde den först den 25 juni 2019. Sanktionsavgiften blev 50 000 kronor. Beloppet är lågt i sammanhanget, men fallet visar tydligt att en sen anmälan i sig är en överträdelse.

För ledningen handlar det om att i förväg bestämma:

vem som har mandat att bedöma om en incident är anmälningspliktig,
hur ledningen informeras och inom vilken tid,
när dataskyddsombudet kopplas in,
hur incidenten dokumenteras, även när den inte anmäls.

Vi har beskrivit processen i detalj i så gör ni rätt inom 72 timmar och i vår guide till en incidentlogg med färdiga fält.

Tillsyn och sanktionsavgifter

IMY kan vid överträdelser besluta om administrativa sanktionsavgifter. Enligt IMY:s sida om vad tillsynen kan leda till gäller följande maxbelopp:

Typ av organisation	Högsta sanktionsavgift	Vid mindre allvarliga överträdelser
Företag och andra som inte är myndigheter	20 miljoner euro eller 4 procent av den globala årsomsättningen, det belopp som är högst	Lägre maxbelopp enligt förordningen
Myndigheter	10 miljoner kronor	5 miljoner kronor

När IMY avgör om en avgift ska tas ut och hur hög den ska vara vägs bland annat in om överträdelsen var oaktsam eller avsiktlig, hur länge den pågått, hur många som drabbats, hur stor skadan är och vad organisationen gjort för att begränsa skadorna. Den sista punkten är direkt kopplad till ledningens arbete: en organisation som kan visa en fungerande process och snabba åtgärder står bättre rustad.

Exempel: I beslutet mot MedHelp AB från juni 2021 fick bolaget betala 12 miljoner kronor för överträdelser av bland annat artiklarna 5.1 a och f, 6, 9, 13 och 32.1. Beslutet omfattade flera brister samtidigt, från rättslig grund och information till säkerhet, vilket illustrerar hur systematiska brister snabbt får större ekonomiska följder än enskilda misstag.

GDPR governance, eller GDPR-styrning, handlar om att göra ledningsansvaret återkommande och mätbart. Ett fungerande upplägg kan se ut så här:

Fastställ ramarna. Styrelsen beslutar om dataskyddspolicy, ambitionsnivå och riskaptit. VD fastställer delegering och budget.
Kartlägg och dokumentera. Varje verksamhetsområde håller sin del av registret aktuellt och har en namngiven ägare.
Bedöm riskerna. Ledningen kräver konsekvensbedömningar före nya behandlingar och prioriterar åtgärder efter risk. Se vår guide till riskbaserad prioritering.
Granska leverantörerna. Biträdesavtal och leverantörsbedömningar följs upp enligt en fast cykel.
Öva incidentprocessen. Minst en övning per år där ledningen deltar och 72-timmarsflödet testas.
Rapportera. Dataskyddsombud eller dataskyddsansvarig rapporterar till ledningsgruppen löpande och till styrelsen minst årligen: status, större risker, incidenter och åtgärder.
Följ upp och protokollför. Beslut och avvikelser dokumenteras så att organisationen kan visa att styrningen faktiskt sker.

För organisationer som också omfattas av NIS2 eller arbetar enligt ISO 27001 lönar det sig att samordna styrningen. Riskhantering, incidentflöden, leverantörsuppföljning och ledningsrapportering överlappar i stor utsträckning. Läs mer om ansvar i informationssäkerhet för beslutsfattare och om att bygga ett ledningssystem för informationssäkerhet.

Frågor styrelsen bör ställa

Vilka är våra tre största dataskyddsrisker just nu, och vem äger dem?
Är registret över behandlingar komplett och när uppdaterades det senast?
Hur många incidenter har inträffat, hur många anmäldes till IMY och hölls 72-timmarsgränsen?
Vilka leverantörer behandlar personuppgifter åt oss, och har de bedömts?
Har vi följt dataskyddsombudets råd, och om inte, var finns skälen dokumenterade?

Vårt perspektiv

Vi möter ofta ledningsgrupper som vill göra rätt men saknar överblick. Dokumentationen finns utspridd i kalkylark, mejltrådar och mappar, och när styrelsen frågar om status blir svaret en känsla snarare än ett underlag.

Vår erfarenhet som jurister är att ledningsansvar enligt GDPR blir hanterbart först när arbetet samlas på ett ställe. När registret, konsekvensbedömningarna, incidenterna, leverantörsbedömningarna och åtgärderna hänger ihop kan ledningen se var riskerna finns, vem som äger dem och vad som återstår. Då går det också att visa IMY att organisationen styr sitt dataskydd systematiskt.

Därför har vi byggt Trustview med tydliga ramverk, delegerat ansvar och automatiska rapporter. Målet är att ledningen ska kunna fatta informerade beslut, och att dataskyddsombudet och verksamheten ska slippa lägga tid på administration som går att automatisera.

Jesper

Samla ledningens dataskyddsarbete i Trustview

Trustview är en svenskutvecklad plattform byggd av jurister, där ni hanterar registerförteckningar enligt GDPR, konsekvensbedömningar (DPIA och TIA), risk- och incidentloggning, leverantörsbedömningar och uppföljning av åtgärder. Ansvar delegeras till rätt person, och ledningen får en realtidsöversikt över compliance-status och automatiska rapporter inför ledningsgrupps- och styrelsemöten.

Trustview

Plattformen stödjer GDPR, NIS2, ISO 27000 och AI-förordningen och innehåller färdiga mallar, guider och utbildningsfunktioner. Trustview kostar från 2 500 kr per månad. Behöver ni stöd i enskilda frågor kan ni komplettera med vår juridiska rådgivning.

Sanktionsavgifter enligt GDPR riktas mot organisationen som personuppgiftsansvarig, inte mot VD som person. Enligt IMY och EDPB är det organisationen som sådan som är personuppgiftsansvarig. VD:s ansvar ligger i att leda verksamheten så att organisationen kan följa och visa efterlevnad.

Räcker det att utse ett dataskyddsombud?

Nej. Dataskyddsombudet informerar, ger råd och kontrollerar, men har inget eget ansvar för att GDPR följs. Ansvaret ligger kvar hos organisationen, och ledningen måste ge ombudet tillgång till information, möten och beslut som rör dataskyddet.

Hur ofta bör styrelsen få rapportering om dataskydd?

GDPR anger ingen fast frekvens, men styrelsen behöver regelbundet underlag för att kunna följa upp risker och incidenter. Ett vanligt upplägg är löpande rapportering till ledningsgruppen och en samlad rapport till styrelsen minst en gång per år, kompletterad med direkt information vid allvarliga incidenter.

GDPR riktar ansvaret mot organisationen som personuppgiftsansvarig och kräver att den kan visa efterlevnad. NIS2 lägger stor vikt vid ledningens styrning av cybersäkerhetsrisker. I praktiken överlappar kraven, och många organisationer samordnar riskhantering, incidentflöden och rapportering för båda regelverken.

Vilken dokumentation bör ledningen kunna visa vid en granskning?

Som minimum: dataskyddspolicy, register över behandlingar, genomförda konsekvensbedömningar, incidentlogg, biträdesavtal och protokoll som visar ledningens beslut och uppföljning. Dokumentationen ska vara aktuell och visa vem som ansvarar för vad.